Bulletins de Sécurité

Une vulnérabilité critique de type "Mécanisme de récupération de mot de passe faible" affectant Keycloak a été publiée le 19 août 2026, à l'occasion de la sortie de la version 26.7.2.

Le niveau de criticité de cette vulnérabilité est de 9.1 (CWE-640).

Bien que Red Hat soit l'autorité de nommage (CNA) ayant publié cette CVE et que la communication autour de la faille mette en avant "Red Hat Build of Keycloak", la vulnérabilité touche le composant keycloak-services, commun à toutes les distributions de Keycloak, y compris la version communautaire open source. Toute installation de Keycloak dans les plages de versions concernées est donc affectée, indépendamment de la distribution utilisée.

Keycloak est une solution de gestion des identités et des accès (IAM) et de fournisseur d'identité unique (SSO) open source, souvent positionnée en composant central pour l'authentification de multiples applications d'une organisation.

• CVE-2026-18963 : une validation d'état incorrecte dans le flux reset-credentials du composant keycloak-services permet à un attaquant distant non authentifié de forcer la réinitialisation du mot de passe d'un utilisateur ciblé, sans avoir besoin de cliquer sur le lien de vérification normalement envoyé par email. L'attaquant peut ensuite définir directement de nouveaux identifiants et prendre le contrôle complet du compte visé.

Keycloak faisant généralement office de fournisseur d'identité central, la compromission d'un compte, en particulier un compte administrateur, peut donner accès à l'ensemble des applications qui lui sont rattachées.

Aucune exploitation active n'est confirmée à ce jour par Red Hat. Un exploit a été référencé sur un forum spécialisé, mais aucun code fonctionnel public vérifié n'a été identifié à l'heure de la rédaction de ce bulletin.

Étant donné le risque associé, nous préconisons de corriger cette vulnérabilité sans plus attendre pour toute instance Keycloak exposée sur Internet.